"Странные" сочетания битов доступа.
Обычно права на файл (например, для "всех остальных") устанавливаются
- --- никаких прав (нельзя ни читать, ни изменять содержимое)
- r-- только чтение
- rw- и чтение и запись (изменение) файла.
Если файл является "исполняемым", то права могут выглядеть
- --- опять же, никаких прав (читать нельзя, запускать нельзя)
- r-x можно запустить файл-задачу на выполнение
- rwx можно не только запустить, но и что-нибудь в нем поменять
Остальные сочетания (например -w- или --x) кажутся бессмысленными.
Однако, это не всегда так. Рассмотрим подробнее.
Права -w- означают, что юзер из соответствующей категории не может
прочитать этот файл, но может в него писать.
Конечно, для "исполняемого" файла это сочетание бессмыслено (запустить
как задачу нельзя, но "покорежить" что-нибудь внутри - пожалуйста).
Однако, если этот файл представляет собой что-то вроде "лога" или
почтового ящика, то такие permissions могут иметь смысл. Например,
вы допускаете, что другие юзеры (или какие-нибудь программы-автоматы)
будут дописывать сюда свои "донесения", но не хотите, чтобы те же юзеры
могли посмотреть - что туда понаписали другие.
Правда, при этом никто не мешает тем же юзерам просто не читая,
записать в этот файл что-нибудь, "похоронив" при этом все старое содержимое
файла. Или даже скопировать туда файл нулевой длины (или /dev/null),
при этом, естественно, вообще никакого "содержимого" у вашего файла не
станет. Однако, чтобы предотвратить такую ситуацию можно поставить на
тот же файл флаг "только дозапись". Он не помешает вам читать свой файл,
а другим юзерам дописывать в него что-нибудь. Правда, не даст даже вам
стирать из файла все лишнее или удалить файл, пока вы не "снимите" флаг.
Теперь посмотрим на исполняемые файлы.
Права --x на самом деле вполне законная комбинация. Она означает,
что запустить эту задачу можно (и получить от нее какой-то результат).
Нельзя только скопировать этот файл себе или "залезть" в него отладчиком.
Поэтому, такие permissions даже полезны, если вы хотите сохранить
свою "интеллектуальную собственность".
Комбинация -wx, пожалуй, смысла не имеет (как и просто -w- на исполняемом
файле). Вы просто даете возможность изменить содержимое, причем "вслепую"
(поскольку посмотреть это содержимое нельзя). Результатом может быть
только порча вашего файла.
Также можно отнести к бессмысленным и права r-- на исполняемом файле.
Если вы хотите таким способом "подразнить" кого-то (вот есть такой файл,
можно посмотреть - как он внутри устроен, а выполнить нельзя), то не
обольщайтесь. Другой юзер спокойно может скопировать этот файл себе,
при этом он становится полноправным владельцем полученной копии. После
этого он поставит на свою копию такие права, какие ему захочется и,
все таки, запустит его.
Для директорий обычно права доступа устанавливаются
- --- никаких прав
- r-x нормальные права для "посещения" директории, но без права изменения
(создавать/удалять/переименовывать файлы)
- rwx полный доступ (делай там что хочешь)
Имеет ли смысл устанавливать какие-либо другие сочетания?
Ну, во-первых, если отсутствует бит доступа --x (доступ к содержимому),
то любая комбинация из двух остальных ничего полезного не даст.
Комбинация r-- даст возможность получить список файлов в этой директории,
например командой ls, и не более того. Причем посмотреть можно будет
только имена файлов, а такие подробности, как владелец/группа/permissions
будут недоступны. В такую директорию нельзя "войти" командой cd.
И, даже если внутри нее поддиректории имеют вполне нормальные права доступа
(например r-x), попасть в них будет невозможно.
Комбинации -w- и rw- имеют еще меньше смысла. Все равно, изменить
что-нибудь в директории с такими правами доступа не удастся.
А вот сочетания --x и -wx на самом деле вполне осмысленны.
Таким способом можно сделать "полусекретную" директорию.
"Секретность" ее заключается в том, что никто посторонний не сможет
посмотреть - что за файлы и директории в ней находятся. Но, если вы
своим друзьям сообщите - как называется файл находящийся там, они смогут
без проблем его взять оттуда или посмотреть его прямо на месте.
Аналогично и с поддиректориями. Если вы не хотите, чтобы кто-нибудь
просто "бродя" по вашим директориям наткнулся на директорию с "секретным"
содержанием (например sex-pictures :-), но, в тоже время, не против чтобы
некоторые близкие друзья могли туда "захаживать" и знакомится с новыми
пополнениями, "спрячьте" свои "приватные" директории в директорию
(например private) с доступом --x. Тогда ваши друзья смогут попасть в
нужную поддиректорию, указав полный путь (cd private/sex-pictures),
а случайные посетители ее просто не найдут (если, конечно, этот посетитель
не root).
Конечно, "секретность" в этом случае будет не полной, поскольку,
если посторонний каким-то образом узнает правильное название файла
или поддиректории, то получит те же возможности, что и "близкие друзья".
Права -wx отличаются от предыдущего тем, что "доверенным лицам" можно
писать в эту директорию. Они могут скопировать туда файл, удалить (если,
конечно, знают его точное название) и т.п. Опять же, посторонний сможет
разве что записать туда файл, который вы не просили. Удалить там что-нибудь
или переименовать, не зная названий файлов (и поддиректорий), он не сможет.
И, напоследок, еще один нестандартный случай, который касается
распределения прав по категориям юзеров.
Обычный порядок назначения прав различным категориям на файл или
директорию
- владелец - полные права (rwx)
- группе доверенных лиц - тоже самое, но без права изменения (r-x)
- всем остальным - никаких прав (---)
Вообще-то, обычно права назначаются даже еще проще. Поскольку,
группы составляет root и рядовые юзеры, как правило, не выбирают
себе соседей по группе, то их файлы и директории имеют одинаковые "допуски"
для группы и "всех остальных". Например, для "несекретных" файлов
(директорий) - rwxr-xr-x, а те, которые владелец хочет оградить
от посторонних rwx------.
Но в данном случае речь не об этом.
Что будет, если "всем остальным" дать доступ, пусть и ограниченный,
а для группы "особо приближенных" - наоборот убрать (выглядеть это
будет примерно так - rwx---r-x)?
Тогда группа, приписанная к файлу, превратится из группы "особо
допущенных" в группу "особо нелюбимых". То есть некий "черный список",
куда можно занести (естественно, сделать это может только root)
всех тех, кто не пользуется доверием. Обратите внимание, что система,
проверяя права конкретного юзера по отношению к файлу, сначала
проверяет - не является ли он владельцем, потом - не входит ли он
в группу, а уже после этого относит его ко "всем остальным". Так что,
даже если "все остальные" имеют допуск к файлу, но юзер имел несчастье
попасть в соответствующую группу, к нему будут применяться права доступа
группы.
Я не берусь судить - можно ли извлечь из этого какую-то пользу.
Тем более, что составить "черный список" может только root. И, кроме того,
не забудьте, что количество групп, в которые может входить юзер,
ограничено, поэтому не стоит без особой надобность "плодить" дополнительные
списки. Но, во всяком случае, возможность поступить таким образом есть.
Иван Паскаль [email protected]
